Hugging Face Transformersに未パッチ脆弱性、「同意前」に不正コードがディスクへ書込

Hugging Faceの主要ライブラリ「Transformers」に、悪意あるモデルを読み込んだだけで攻撃者のPythonコードがディスクへ書き込まれる脆弱性(CVE-2026-80047)が見つかった。9月1日にCERT/CCが公開したアドバイザリによると、対象はバージョン4.49.0〜5.8.1と広範囲で、深刻度は「Critical」。9月2日時点で公式パッチは未提供という。

「確認する前に書き込む」という設計ミス #

Transformersには、モデル作者が独自の生成ロジックを配布できるcustom_generateという仕組みがある。本来ならユーザーが「信頼するか」を確認するtrust_remote_codeのプロンプトを経てから外部コードを取り込むはずだった。

ところが実際の処理順序は逆だった。get_cached_module_file()がリモートのgenerate.pyを~/.cache/huggingface/modulesへ先にコピーし、その後でresolve_trust_remote_code()が同意確認を行う設計になっていた。つまりユーザーが確認画面で「いいえ」を選んでも、コードは既にディスク上に存在してしまう。AutoModelやAutoTokenizerなど他の読み込み経路は正しく確認を先に行っており、この一部だけが順序を誤っていた。

AIサプライチェーン全体への警鐘 #

攻撃者に特別な権限や追加操作は要らない。悪意あるリポジトリを公開し、誰かがロードするのを待つだけで足りる。これは「モデルファイルは信頼できる入力として扱う」というML開発現場の慣行そのものを崩す事例であり、npm/PyPIで繰り返されてきたサプライチェーン攻撃と同じ構図が、AIモデル配布網でも成立することを示した。

モデルを「実行可能なコード」として扱う警戒感が、いま最も試されている。